セキュリティの「KPI」を定めることで、現状のセキュリティ体制の問題点を洗い出し、必要な対策を打てるようになる。どのような数値を管理すればいいのか。セキュリティのKPIとして「12個の指標」を解説する。
セキュリティでも「KPI」（重要業績評価指標）が重要だ。セキュリティに関連する一連の状況を数値化することで、自社のセキュリティ対策が良いのか悪いのかを判断できるようになる。自社がさらされているリスクを把握し、効率よく対策を打つためにも、セキュリティのKPI管理が欠かせない。では何を管理すればいいのか。セキュリティに関する「12個の指標」を紹介する。
侵入の試みの検出数は、自社が直面している脅威の量や種類を示す。セキュリティの仕組みがうまく機能してシステムへの侵入を防げていると、自社が標的になっていないという誤解を生む可能性がある。その場合、経営陣は「セキュリティ予算を削ってもいい」と勘違いする恐れがある。侵入の試みの検出数を共有することにより、経営陣にセキュリティ予算の重要性を理解してもらえる。
予算を確保してセキュリティツールを導入した後、問われるのはその効果だ。インシデントの発生件数を把握することで、導入したセキュリティツールが防御の強化につながっているのかどうかを判断できるようになる。セキュリティツールによってインシデントを防げているのであれば、その投資が無駄ではなかったことを示せる。
「システムが広い範囲にわたってマルウェア感染した」「重要なデータが流出した」など、インシデントの深刻度を把握できれば、優先順位を付けて効率よく対策を講じられるようになる。この指標を使うことで、新しく導入したセキュリティツールによって深刻度の高いインシデントの発生件数を抑制できているかどうかを確認することも可能だ。
セキュリティ対策はスピードが命だ。インシデントへの対処時間を見える化することで、どの程度迅速にアラートの評価や対策の実施ができているかが分かる。対処時間が長過ぎるという判断になった場合、セキュリティ体制を見直して時間短縮に取り組むべきだ。インシデントへの対処時間の指標としては、「平均検出時間」（Mean Time To Detect：MTTD）や「平均応答時間」（Mean Time To Respond：MTTR）がある。
インシデントが発生した場合、マルウェアなどの脅威を分離し、除去するまでの修復時間を計測することが大切だ。インシデントへの対処時間と同様、システムの修復時間が長過ぎるという判断になった場合は、迅速に改善策を打つことが重要だ。システムの修復時間の指標としては「平均復旧時間」（Mean Time To Recovery：MTTR）がある。平均応答時間のMTTRとは違うので、注意が必要だ。
マルウェア検出ツールを使用していると、過検出や検出漏れが発生することがある。マルウェア検出ツールがどれだけの精度でマルウェアを検出できているのかを測定し、定期的に設定を調整する必要がある。
システムを攻撃から守るために欠かせない対策の一つが、脆弱（ぜいじゃく）性に対するパッチ（修正プログラム）適用だ。パッチが公開されてから自社がインストールするまでにかかる時間を測定することで、パッチ適用の体制がうまく機能しているかどうかが分かる。
脆弱性診断ツールを用いてスキャンを実行することで、脆弱性のパッチが適用されているかどうかを確認し、潜在的なリスクを特定できる。脆弱性診断ツールの評価には新しく発見された脆弱性や未解決の脆弱性、脆弱性のリスク評価などが含まれる。これらの情報を7つ目のパッチ適用にかかる時間と併用することで、脆弱性管理の現状を可視化できる。
セキュリティリスクは組織の「外部」に限らず、「内部」にもある。そのため、どのエンドユーザーにどのようなアクセス権限を付与するかに関するアクセス制御が重要だ。アクセス制御に関する情報を収集、分析することで、組織内部に潜むセキュリティの問題と、アクセス制御において変更が必要な点を明確にできる。
社内ネットワークを通じて送受信されるデータ量の測定は、潜在的な脅威を特定する上で役立つ。ネットワークを流れるデータ量の変化は、マルウェアの侵入やその他のサイバー攻撃の兆候を示していることがあるからだ。
セキュリティツールがうまく機能しているかどうかを確認するには、監査や侵入テストなどの一連の確認作業が重要になる。こうした作業は後回しになったり、忘れられてしまったりする恐れがある。監査や侵入テストの実行頻度を測定することで、そうした作業を実行する意識付けができるようになる。
クラウド型のセキュリティ分析ツールは、同じ業界の他社の数値と比較する指標（ベンチマーク）を提供している場合がある。同業他社との比較によって、自社のセキュリティ体制の強みや弱点を把握し、業界標準を目指せるようになる。
後編は、セキュリティのKPIを達成するためのベストプラクティス（最適な方法）を紹介する。
米国TechTargetの豊富な記事の中から、さまざまな業種や職種に関する動向やビジネスノウハウなどを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
クラウド利用が当たり前となった今日、セキュリティ対策もまたクラウド環境に適したものでなくてはならない。とはいえ、大量のデータポイントが生成されるクラウド領域にあって、その全てのポイントを網羅するのは並大抵のことではない。
ビジネスでのAPI利用が進むにつれ、そのAPIを標的としたサイバー攻撃も増加している。それらに対抗するためには、「シャドーAPI」や「ゾンビAPI」を洗い出し、セキュリティ対策を徹底する必要がある。その正しい進め方を解説する。
ある調査で企業の61％がセキュリティ優先事項のトップ3に挙げるほど、重要度が高まっているアイデンティティー管理・保護。その中で昨今注目されているのが「IGA」というアプローチだ。そのメリットや、導入方法を解説する。
DX推進によってさまざまなビジネスシーンでデジタル化が加速しているが、そこで悩みの種となるのがセキュリティの担保だ。リソースやコストの制限も考慮しながら、DXとセキュリティを両輪で進めるには何が必要になるのか。
サイバー攻撃が巧妙化し、セキュリティチームとSOCは常に厳戒態勢を取り続けている。さらにデジタルフットプリントの拡大に伴い、セキュリティデータが絶え間なく往来する事態が生じている。このような状況に対応するには、SOARが有効だ。
お知らせ
米国TechTarget Inc.とInforma Techデジタル事業が業務提携したことが発表されました。TechTargetジャパンは従来どおり、アイティメディア（株）が運営を継続します。これからも日本企業のIT選定に役立つ情報を提供してまいります。
「ECプラットフォーム」売れ筋TOP10（2025年4月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年4月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
Cookieを超える「マルチリターゲティング」 広告効果に及ぼす影響は？
Cookieレスの課題解決の鍵となる「マルチリターゲティング」を題材に、AI技術によるROI向...
ITmediaはアイティメディア株式会社の登録商標です。
